مدينة هو تشي منه، 26 فبراير 2026 – مشروع المحفظة الذكية DeFAI Holdstation القائم في فيتنام (المبني على Worldcoin و BNB Chain) أكد أنه كان ضحية لهجوم خطير على سلسلة التوريد في الساعات الأولى من 25 فبراير 2026. تم تسجيل إجمالي الخسائر عند 462,000 USDT، وهو ما يعادل تقريبًا 462,000 دولار.
هذا يمثل الحادث الأمني الثاني للمشروع في عام 2026، بعد خرق منفصل في يناير أدى إلى خسائر تقدر بحوالي 100,000 دولار.
الهجوم على سلسلة التوريد يستهدف بنية التوزيع التحتية، وليس العقود الذكية
وفقًا للتصريح الرسمي، لم يقم المهاجم باختراق محافظ المستخدمين مباشرةً ولم يستغل العقود الذكية. أكدت Holdstation وشركة التدقيق Verichains أن العقود الذكية ما زالت آمنة.
بدلاً من ذلك، استهدف المهاجم البنية التحتية لتوزيع التطبيقات — وهي النظام المسؤول عن تسليم التحديثات للمستخدمين.
على وجه التحديد، قام المهاجم بـ:
تحالَف مع إضافة برمجية شائعة للتشفير لخداع الموظفين الداخليين في تثبيتها.
سرق رموز الجلسة، متجاوزًا المصادقة متعددة العوامل (MFA).
اكتسب المهاجم السيطرة على خادم توزيع التطبيق وخط أنابيب CI/CD وخزنًا سحابيًا يحتوي على ملفات JavaScript الأساسية.
بعد الاستيلاء على البنية التحتية، قام المهاجم بتعديل ملف JavaScript الرسمي وإدخال كود خبيث عبر باب خلفي. قام المستخدمون الذين قاموا بتحديث التطبيق دون علم بتثبيت النسخة المخترَقة.
آلية سحب الأموال «صامتة»
تم تصميم الكود الخبيث ليعمل فورًا بعد التثبيت:
الاستفادة من الأذونات الشرعية للتطبيق على الجهاز.
التوقيع تلقائيًا على معاملات تحويل USDT دون عرض نافذة تأكيد منبثقة.
إرسال الأموال إلى عنوان محفظة المهاجم: 0xcb6a60b39cfaae475f649fb6705bd477219bf8d.
التنفيذ بصمت في الخلفية دون تفعيل تنبيهات مرئية.
ونتيجة لذلك، تم سحب أموال عدة محافظ للمستخدمين خلال دقائق من إطلاق التحديث الخبيث.
استجابة طارئة خلال 30 دقيقة
استنادًا إلى الجدول الزمني المنشور (UTC+7):
01:30 صباحًا: يبدأ الهجوم.
01:32 صباحًا: يكتشف نظام المراقبة نشاطًا غير طبيعي.
01:35 صباحًا: تم تعليق جميع الخدمات مؤقتًا.
01:45 صباحًا: تمت إزالة النسخة الخبيثة واستعادة النسخة الآمنة.
02:00–02:15 صباحًا: التنسيق مع CEXs وDEXs لتجميد محفظة المهاجم والحد من حركة الأموال.
عملت Holdstation لاحقًا مع Verichains لإجراء تحليل على السلسلة وجمع أدلة جنائية.
الخسارة المؤكدة رسميًا تبلغ 462,000 USDT.
تعهد برد كامل بنسبة 100%
تعهد Holdstation بتعويض 100% من خسائر المستخدمين المتأثرين. ويُطلب من المستخدمين المتأثرين تقديم نموذج التعويض الرسمي:
https://forms.gle/Zp1eBafLpd7i9wK46
ستتحقق المجموعة من المعاملات على السلسلة وتؤكد ملكية المحفظة قبل إصدار عمليات الاسترداد. وأكد المشروع أنه لن يطلب أبدًا عبارات الاسترداد (seed phrases) أو المفاتيح الخاصة أو أي رسوم خلال عملية التعويض.
دروس أمنية لصناعة بأكملها
تُبرز هذه الحادثة حقيقة حاسمة في مجال العملات المشفرة: حتى عندما تكون العقود الذكية آمنة، قد تؤدي نقاط الضعف في البنية التحتية لتوزيع البرمجيات إلى خسائر كبيرة.
ذكر Holdstation أنه يعيد هيكلة عملية الإطلاق لديه، بما في ذلك:
تعزيز ضوابط الوصول الداخلية.
تنفيذ الموافقات متعددة التواقيع لإجراءات الإطلاق.
إجراء عمليات تدقيق مستقلة قبل كل تحديث.
جذبت القضية اهتمامًا كبيرًا من مجتمع العملات المشفرة في فيتنام، حيث يُعد Holdstation واحدًا من مشاريع محافظ DeFi البارزة ومقره في مدينة هو تشي مينه.
تعهد المشروع بالاستمرار في الشفافية وتقديم المزيد من التحديثات مع استمرار التحقيق.